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(57) Abstract: The invention relates to a method for the initial login of an 
especially mobile terminal at an access point of a local communication net- 
work, whereby a first transmission power of a first radio transmitter/radio 
receiver of the access point is reduced after detection of the terminal, in such 
a way that a transmission/reception process can only be carried out in a near 
field of the access point. The invention also relates to an access point and to 
a terminal for carrying out the method. 

(57) Zusammenfassung: Die Erfindung betrifft ein Verfahren zur 
Erstanmeldung eines, insbesondere mobilen, Endgerates an einem 
Zugangspunkt eines lokalen Kommunikationsnetzwerkes, bei dem eine 
erste Sendeleistung einer ersten Funksende-/Funkempfangseinrichtung 
des Zugangspunktes nach Detektieren des Endgerates derart reduziert 
wird, dass ein Sende-/Empfangsvorgang nur in einem Nahfeld des 
Zugangspunktes erfolgen kann, des Weiteren betrifft die Erfindung einen 
Zugangspunkt sowie ein Endgerat zur Durchfuhrung des Verfahrens. 
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Beschreibung 

Verfahren zur Anmeldung eines mobilen Endgerates an .einem Zu- 
gangspunkt eines lokalen Kommunikationsnetzwerkes sowie Zu- 
5 gangspunkt und Endgerat zur Durchfuhrung des Verfahrens 

Die Erfindung betrifft ein Verfahren zur Anmeldung eines mo- 
bilen Endgerates an einem Zugangspunkt eines lokalen Kommuni- 
kationsnetzwerkes gemafi Anspruch 1, einem Zugangspunkt zur 
10 Durchfuhrung des Verfahrens gemafi Anspruch 8 sowie ein Endge- 
rat zur Durchftihrung des Verfahrens gemaii Anspruch 9. 

Die Verschmelzung von Informations- und Kommunikationsnetzen 
hat dazu gefiihrt, dass Datentibertragungsnetze, wie Lokale 

15 Netzwerke LANs, zunehmend mit drahtlosen Zugangspunkten, so- 
genannten Access Points ausgestattet werden, die es erlauben, 
neue Netzteilnehmer, auch als Netzknoten bezeichnet, drahtlos 
an das LAN zu binden. Diese Entwicklung geht sogar soweit, 
dass zum Teil solche Netze tiberwiegend bzw. vollstandig 

20 drahtlos Daten austauschen.' 

Solcherlei Netze bieten auch Raum ftlr unberechtigte Zugriffe 
auf Daten innerhalb des Netzes, so dass hierfttr vielerlei An- 
satze zur Gewahrung der Sicherheit entwickelt wurden, 

25 

Einer der Ansatze ist die Beschrankung des Datenaustausches 
innerhalb des Netzes auf bekannte Netzknoten, wobei ein neuer 
Netzknoten dadurch dem Netz bekannt gemacht wird, dass er bei 
einem erstmaligen Anmelden, der Erstanmeldung, Authentif izie- 
30 rungsdaten, zumeist Schlussel zur Verschlttsselung von Daten 
bei der Ubertragung, mit dem jeweiligen Zugangspunkt aus- 
tauscht . 

Ein Nachteil ergibt sich, wenn dieser Austausch drahtlos er- 
35 folgt- In diesem Fall kann ein moglicher Angreifer die Au- 
thentif izierungsdaten abfangen, urn sich fiir einen unerlaubten 
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Zugriff als bekanntes Endgerat auszugeben bzw. verschltisselte 
Daten mittels der Schllissel zu entschliisseln. 

Die der Erfindung zugrundeliegende Aufgabe ist, ein Verfahren 
und eine Anordnung anzugeben, die es erlaubt, unberechtigte 
Zugriffe auf ein lokales Kommunikationsnetz mit drahtlosen 
Zugangspunkten weitestgehend zu verhindern. 

Diese Aufgabe wird durch das Verfahren ausgehend vom Oberbe- 
griff des Anspruchs 1 durch dessen kennzeichnende Merkmale 
geiast. Des Weiteren wird die Aufgabe durch den Zugangspunkt 
ausgehend vom Oberbegriff des Anspruchs 8 durch dessen kenn- 
zeichnende Merkmale sowie durch das Endgerat ausgehend vom * 
Anspruch 9 durch dessen kennzeichnende Merkmale gelost. 

Bei dem erf indungsgemaBen Verfahren zur Erstanmeldung eines, 
insbesondere mobilen, Endgerates an einem Zugangspunkt eines 
lokalen Kommunikationsnetzwerkes nach Anspruch 1 wird eine 
erste Sendeleistung einer ersten Funks ende-/Funkempf angs- 
einrichtung des Zugangspunktes nach Detektieren des Endgera- 
tes derart reduziert, dass ein Sende-/Empf angsvorgang nur in 
einem Nahfeld des Zugangspunktes erfolgen kann. 

Durch das einseitige Senken der ersten Sendeleistung der ers- 
ten Funksende-/Funkempfangseinrichtung des Zugangspunktes, so 
dass ein Empfang nur im Nahfeld des Zugangspunktes moglich 
ist, wird erreicht, dass Gelegenheiten fttr ein MithSren mit- 
tels eines anderen nicht als zum lokalen Kommunikationsnetz 
gehorenden Endgerates (Lauscher) zumindest deutlich reduziert 
wird. Vor allem wird vermieden, dass ein Lauscher bei der 
Erstanmeldung ublicherweise Ubertragene sicherheitsrelevante 
Daten, wie z,B. Authentif izierungsschltissel, auswerten kann, 
da sich ein Lauscher im Allgemeinen nicht im Nahfeld eines 
Zugangspunktes aufhalt und ftir eine Auswertung sowohl die Da- 
ten vom Zugangspunkt als auch die Daten von dem sich zum ers- 
ten Mai anmeldenden Endgerat benStigt werden. Ein weiterer 
Vorteil ist, dass ftir die Umsetzung dieser Abwehr von Lausch- 
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angriffen Endgerate nicht verandert werden mussen, beispiels- 
weise kann die Abwehr auch dann gewahrleistet werden, wenn 
die Endgerate nicht in der Lage sind, ihre Sendeleistung zu 
verandern. 

5 

Vorteilhaf terweise wird bei einer mSglichen Weiterbildung der 
Erfindung nach Detektieren durch den Zugangspunkt eine an das 
Endgerat gerichtete Signalisierung durchgeftihrt, welches das 
Endgerat veranlasst, eine zweite Sendeleistung einer zweiten 

10 Funks ende-/ Fun kempf angseinrichtung zu senken, wobei die zwei- 
te Sendeleistung derart reduziert wird, dass ein Sende-/Emp- 
fangsvorgang nur in einem Nahfeld des Endgerates erfolgen 
kann und wobei die Signalisierung vor dem Reduzieren der ers- 
ten Sendeleistung erfolgt. Hierdurch wird erreicht, dass we- 

15 der die vom Zugangspunkt gesendeten Daten noch die von dem 

Endgerat im Rahmen des Anmeldevor gangs zu sendenden Daten von 
einem sich auJJerhalb des Nahfeldes aufhaltenden Lauscher ab- 
gefangen werden konnen, so dass ein Auswerten der ausge- 
tauschten .Daten ganzlich verhindert wird. 

20 

Vorzugsweise erfolgt die Signalisierung durch Ubermittlung 
einer ersten Nachricht, die ftir die Angabe eines durch den 
Zugangspunkt ermittelten empfangenen ersten Signalpegels, 
insbesondere eines "Received Signal Strength Indicator" RSSI, 

25 Wertes vorgesehen ist, wobei anstelle des vorgesehenen ersten 
Signalpegels ein zweiter, insbesondere einen hoheren Wert 
aufweisender, Signalpegel angegeben wird. Der Vorteil dieser 
Weiterbildung ist durch die hierdurch mogliche einfachere 
Implementierung in bereits bestehende Systeme, die zumindest 

30 teilweise eine Ubertragung Uber Funk nutzen, gegeben, da im 
Wesentlichen jeder Funkkommunikat ions standard das Versenden 
einer derartigen Nachricht als Ruckkopplungs information ftir 
die Quelle des jeweiligen Signals reserviert. Mit dieser Wei- 
terbildung ist es daher moglich, dass Endgerate ohne Anderun- 

35 gen das erf indungsgemSfie Verfahren untersttitzen konnen. Le- 
diglich die Zugangspunkte mtlssen derart ausgestaltet sein, 
dass sie diese gemafi Funkkommunikationsstandards reservierte 
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Nachricht ftir einen anderen Zweck nutzen, d.h. unabhangig von 
der HQhe des tatsachlich empfangenen Signalpegels einen der- 
art hohen empfangenen Signalpegel zu signalisieren, dass das 
Endgerat (Quelle) seine Sendeleistung auf ein Mafi reduziert, 
dass ein Datenempf ang nur in einem Nahfeld des Endgerates 
moglich ist. 

Enthalt die Signalisierung eine zweite Nachricht, die das 
Endgerat zur Ausgabe eines Hinweises an den Nutzer des Endge- 
rates dahingehend auffordert, das Endgerat in das Nahfeld des 
Zugangspunktes zu bringen, wird vermieden, dass ein Datenaus- 
tausch zur Umsetzung der Erstanmeldung des Endgerates dadurch 
ungewollt unterbrochen wird, dass ein Nutzer des Endgerates 
keine Kenntnis daruber hat, dass er sich mit dem Endgerat zur 
Erstanmeldung im Nahfeld des Zugangspunktes aufhalten muss. 

Urn sicherzustellen, dass die zweite Nachricht den gewtinschten 
Effekt - das Inkenntnissetzen des Nutzer - erzielt, wird die 
zweite Nachricht bei einer Weiterbildung nach Ablauf einer 
vorbestimmten Zeitspanne erneut gesendet, wobei zur Sicher- 
stellung, dass diese Nachricht vom Endgerat empfangen werden 
kann, zumindest vortibergehend die erste Sendeleistung auf ei- 
nen zum Zeitpunkt der Detektion bestehenden Pegel erhQht 



Vorstellbar ist es auch, dass das erneute Senden periodisch 
jeweils nach Ablauf der vorbestimmten Zeitspanne wiederholt 
wird, so dass mit einer hoheren Wahrscheinlichkeit ausge- 
schlossen werden kann, dass der Nutzer die Nachricht nicht 
zur Kenntnis genommen hat, 

Funktioniert die erste und zweite Funks ende-/ Fun kempf angs- 
einrichtung gemafi. einem Kurzstreckenfunkstandard, so wird die 
bei diesem Standard ohnehin schon kurze Ubertragungsdistanz 
noch verringert, so dass ein Lauscher gesehen wird/ wenn er 
versucht, sich ins durch die erste und zweite Funksende- 
/Funkempf angsrichtung funkversorgte Nahfeld zu begeben. Zudem 
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weisen Funksende-/Funkempf angseinrichtungen neuerer Entwick- 
lungsgenerationeri/ insbesondere nach dem Bluetooth-Standard 
funktionierende Funks ende-/Funkempf angseinrichtungen, Chip- 
satze auf , die eine Variation der Sendeleistung in einem End- 
5 gerat erlauben. 

Der erf indungsgemafie Zugangspunkt gemafi Anspruch 8 sowie das 
erf indungsgemafie Endgerat gemafi Anspruch 9 zeichnen sich 
durch Mittel zur Durchfiihrung des Verfahrens aus, so dass 
10 das erf indungsgemafie Verfahren in den entsprechenden Geraten 
Unterstutzung findet. 

Weitere Einzelheiten und Vorteile der Erfindung werden in den 
Figuren 1 bis 2 erlSutert. Davon zeigen 

15 

Figur 1 Darstellung eines Anordnungsszenarios, bei dem 

ein Versuch eines Lauschangrif f s moglich ware, 

Figur 2 ein Ablauf diagramm des erf indungsgemafien Ver- 

20 fahrens bei einem Einsatz in einer Anordnung 

gemafi dem Szenario. 

In Figur 1 ist beispielhaft eine Anordnung gezeigt, die er- 
findungs gemafi einen Versuch eines Lauschangrif fs durch ein 

25 zum Lauschen verwendetes Endgerat LA abwehrt, wobei dies da- 
durch erreicht wird, dass sich ein einem lokalen Netzwerk LAN 
noch nicht bekanntes Endgerat, welches bei dem dargestellten 
Ausfuhrungsbeispiel gemafi dem Bluetooth-Standard funktio- 
niert, in einem ersten Funkversorgungsbereich Nl eines Zu- 

30 gangspunktes (Access Point) AP des lokalen Netzwerks LAN be- 
findet. 

Dieser erste Funkversorgungsbereich Nl wird von einer ersten 
Funks ende-/Funkempf angseinrichtung TRX1 bereitgestellt, wobei 
35 eine erste Sendeleistung der ersten Funksende-/Funkempf angs- 
einrichtung TRX1 einen von einem ersten Mikroprozessor ;iPl 
geregelten Wert aufweist, der die Reichweite des ersten Funk- 
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versorgungsbereiches Nl auf ein Nahfeld des Access Points AP 
begrenzt, d.h. einen Radius aufweist, der im Allgemeinen we- 
nige Dezimeter, alternativ auch bis zu einem Meter , betragt. 

5 Neben dem ersten Funkversorgungsbereich Nl, ist bei diesem 
Ausftihrungsbeispiel auch der zweite Funkversorgungsbereich N2 
eines neu anzumeldenden Endgerates PC auf ein Nahfeld im All- 
gemeinen gleicher Reichweite wie der Reichweite des ersten 
Funkversorgungsbereiches N2 begrenzt. Dies wird durch Rege- 
10 lung einer zweiten Sendeleistung einer zweiten Funksende- 

/Funkempfangseinrichtung TRX2 des Endgerates PC durch einen 
zweiten Mikroprozessor pP2 (Bluetooth-Chipsatz) erreicht. 

Innerhalb des zweiten Funkversorgungsbereiches N2 befindet 
15 sich der Access Point AP, so dass eine Datentibertragung in 
beiden Richtungen problemlos moglich ist, wobei der Versuch 
eines Lauschangrif f es durch ein anderes nicht gemeldetes End- 
gerat LA verhindert bzw. zumindest erschwert wird, dass es 
sich nicht innerhalb beider ktinstlich begrenzter Funkversor- 
20 gungsbereiche Nl, N2 befindet. 

Eine Erstanmeldung, die gemafi Bluetooth Standard als "Pairing 
Prozess" bezeichnet wird, ist besonders kritisch, da sich bei 
diesem Prozess ein Bluetooth-Endgerat durch Ubertragung von 
25 Schlusseln einmalig bei einem Netz authentif iziert und damit 
fortan als bekanntes vertrauenswtirdiges Endgerat "trusted de- 
vice" gespeichert wird, so dass ein Abfangen dieser Informa- 
tion (Schlussel) einem Lauscher die Moglichkeit fur weitere 
unberechtigte Zugriffe auf das Netz ermSglichen wtirde. 



Die in Figur 1 gezeigte Anordnung wehrt derartige Angriffe 
durch das AusfUhrungsbeispiel des erf indungsgemaJien Verfah- 
rens, dessen Ablauf diagramm in Figur 2 dargestellt ist, ab. 



30 



35 



Das in der Figur 2 dargestellte Ablaufdiagramm zeigt die im 
Rahmen des erf indungsgemaJ3en Verfahrens durchzuftlhrenden 
Schritte in deiti oben beschriebenen Szenario. 
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Das Verfahren beginnt im Allgemeinen damit, dass durch den 
Access Point AP ein unbekanntes Endgerat PC detektiert wird 
und sich der Access Point AP somit in einem ersten Schritt SI 
5 im Zustand "Unbekanntes Bluetooth Endgerat" befindet. 

Ausgehend von diesem ersten Schritt SI wird anschliefiend dem 
Bluetooth-Endgerat PC in einem folgenden zweiten Schritt S2 
im Allgemeinen ein kunstlich ttberhohter empfangener Signalpe- 

10 gel signalisiert (RSSI-Wert) . Kunstlich tiberhoht bedeutet 

hierbei, dass im Allgemeinen nicht der tatsSchlich ermittelte 
Signalpegelwert signalisiert wird, sondern erf indungsgemafi 
ein derart hoher Wert, dass das Endgerat PC seine Sendeleis- 
tung auf ein Niveau senkt, welches zu einem zweiten Funkver- 

15 sorgungsbereich N2 des Endger&tes PC ftihrt, der auf ein Nah- 
feld begrenzt ist. 

Wird das Verfahren in einem Funksystem eingesetzt, welches 
Endgerate aufweist, die keine Regelung der Sendeleistung un- 

20 terstiitzen, kann der zweite Schritt S2 ausbleiben. Alternativ 
ist es auch denkbar, dass der zweite Schritt S2 bewusst 
durchgefiihrt wird, selbst wenn es sich um ein Endgerat PC 
handeln wiirde, das keine Regelung unterstiitzt. In diesem Fall 
wird der AbhOrschutz allein dadurch gewahrleistet, dass der 

25 Zugangspunkt AP in einem dritten Schritt S3 seine Sendeleis- 
tung auf einen Wert reduziert, der den ersten Funkversor- 
gungsbereich Nl auf ein Nahfeld begrenzt. 

Untersttitzt dagegen das Endgerat PC eine Regelung der Sende- 
30 leistung - wie fttr dieses Ausftihrungsbeispiel angenommen - so 
wird sowohl durch das Reduzieren der Sendeleistung des Zu- 
gangspunktes AP im dritten Schritt S3 als auch durch Reduzie- 
ren der Sendeleistung des EndgerStes PC in einem vierten 
Schritt S4 die Abwehr eines mSglichen Lauschers LA gewahr- 
35 leistet. 



WO 2004/030285 



CT/EP2003/010637 



8 

Im Anschluss hieran erfolgt in einem filnften Schritt S5 ein 
Uberprtif en, ob sich cias Endgerat PC in Reichweite der ersten 
Funksende-/Funkempf angsvorrichtung TRX1 des Access Points AP 
befindet, wobei dies beispielsweise dadurch realisiert wird, 
5 dass keine Antwort seitens des Endgerates PC an den Zugangs- 
punkt Ubermittelt wird* 

Dieser fUnfte Schritt S5 wird in einer Schleife solange wie- 
derholt, d.h. Anfragen an das Endgerat PC gesendet, bis eine 
10 Antwort empfangen wird, so dass klar ist, dass das Endgerat 
sich im Nahfeld des Zugangspunktes befindet. 

Um dies zu beschleunigen bzw. zu untersttitzen, kann alterna- 
tiv bzw. erganzend mit der Signalisierung im zweiten Schritt 
15 auch eine Nachricht tibermittelt werden, die das Endgerat PC 

veranlasst, seinem Nutzer einen Hinweis darauf zu geben, dass 
er sich mit dem Endgerat fur diesen Pairing Prozess in das 
Nahfeld des Zugangspunktes AP begeben muss. 

20 Alternativ kann in Verbindung mit dem ftinften Schritt diese 

Aufforderung erstmalig erfolgen und/oder nach jedem negativen 
Detektionsergebnis periodisch wiederholt werden, um dem Nut- 
zer eine Rtlckkopplung daruber zu geben, dass er evtl. noch 
nicht nahe genug am Zugangspunkt AP ist. 

25 

Ergibt das Detektieren im ftinften Schritt S5, dass sich das 
Endgerat PC im Nahfeld des Access Points AP befindet, wie in 
Figur 1 dargestellt, so kann in einem sechsten Schritt S6 mit 
dem eigentlichen Pairing Prozess begonnen werden und das er- 
30 f indungsgemafie Verfahren beendet werden. 
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Patentansprtiche 

1. Verfahren zur Erstanmeldung eines, insbesondere mobilen, 
Endgerates (PC) an eiriem Zugangspunkt (AP) eines lokalen 
Kommunikationsnetzwerkes (LAN) , dadurch gekennzeich- 
net, dass eine erste Sendeleistung einer ersten Funksen- 
de-/Funkempfangseinrichtung (TRX1) des Zugangspunktes 
(AP) nach Detektieren (SI) des Endgerates (PC) derart re- 
duziert wird (S3) , dass ein Sende-/Empf angsvorgang nur in 
einem Nahfeld des Zugangspunktes (AP) erfolgen kann. 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, 
dass nach Detektieren durch den Zugangspunkt eine an das 
Endgerat (PC) gerichtete Signalisierung durchgefuhrt 
wird/ welches das Endgerat (PC) veranlasst, eine zweite 
Sendeleistung einer zweiten Funksende-/Funkempf angsein- 
richtung (TRX2) zu senken (S2), wobei die zweite Sende- 
leistung derart reduziert wird, dass ein Sende-/Empf angs- 
vorgang nur in einem Nahfeld des Endgerates (PC) erfolgen 
kann und wobei die Signalisierung vor dem Reduzieren der 
ersten Sendeleistung erfolgt. 

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, 
dass die Signalisierung durch tfoermittlung einer ersten 
Nachricht, die far die Angabe eines durch den Zugangs- 
punkt (AP) ermittelten empfangenen ersten Signalpegels, 
insbesondere eines "Receivied Signal Strength Indicator" 
RSSI, Wertes vorgesehen ist (S2) , erfolgt, wobei anstelle 
des vorgesehenen ersten Signalpegels ein zweiter, insbe- 
sondere einen hoheren Wert aufweisender, Signalpegel an- 
gegeben wird. 

4. Verfahren nach einem der vorhergehenden Anspriiche, da- 
durch gekennzeichnet, dass die Signalisierung (S2) 
eine zweite Nachricht enthalt, die das Endgerat (PC) zur 
Ausgabe eines Hinweises an den Nutzer des Endgerates (PC) 
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dahingehenci auffordert, das Endgerat (PC) in das Nahfeld 
des Zugangspunktes (AP) zu bringen. 

5. Verfahren nach Anspruch 4, dadurch gekennzeichne t , 
5 dass die Nachricht nach Ablauf einer vorbestimmten Zeit- 

spanne erneut gesendet wird, wobei hierzu zumindest vor- 
Ubergehend die erste Sendeleistung auf einen zum Zeit- 
punkt der Detektion bestehenden Pegel erhoht wird* 

10 6. Verfahren nach Anspruch 5, dadurch gekennzeichnet , 
dass das erneute Senden periodisch jeweils nach Ablauf 
der vorbestimmten Zeitspanne wiederholt wird (S5) . 

7. Verfahren nach einem der vorhergehenden AnsprUche, da- 
15 durch g e kenn z e i chne t , dass die erste und zweite 

Funksende-/Funkempf angseinrichtung (TRX1, TRX2) gemafi ei- 
nem Kurzstreckenfunkstandard, insbesondere nach dem Blue- 
tooth-Standard, f unktioniert . 

20 8. Zugangspunkt (AP) , insbesondere nach einem der vorherge- 
henden AnsprUche 1 bis 6, g e k e nn z e i c hn e t durch Mit- 
tel (uPl, TRX1) zur Durchf tihrung des Verfahrens. 
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9. Endgerat (PC), insbesondere nach einem der Ansprtiche 1 
bis 6, gekennzeichnet durch Mittel (]aP2, TRX2) zur 
Durchf tihrung des Verfahrens. 
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